O aviso CVE-2026-92415 descreve uma vulnerabilidade de severidade média no cliente WebDAV/DavEx do Apache Jackrabbit. O problema envolve o uso de entrada externa para selecionar classes ou código. Segundo o texto recebido, o uso de Class.forName e de um construtor de String ocorre a partir de respostas de erro controladas pelo servidor. Um servidor WebDAV/DavEx malicioso, ou um invasor capaz de influenciar a resposta, pode explorar esse caminho. O vetor CVSS 4.0 informado é AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/S:N, com pontuação 6,9. Ele indica exploração pela rede, sem autenticação e sem interação do usuário, com impacto de integridade baixo e sem impacto declarado em confidencialidade ou disponibilidade.
As versões afetadas listadas são Apache Jackrabbit 2.23.0 até 2.23.5, 2.22.0 até 2.22.4 e 2.20.0 até 2.20.17. O texto foi traduzido automaticamente a partir do feed oss-sec e publicado pelo mantenedor em 7 de outubro. A tradução pode não preservar nuances técnicas. Para verificar a informação, consulte o aviso original no site do oss-sec, indicado no próprio registro, e confirme as versões corrigidas e as orientações oficiais do projeto Apache. Este resumo não informa a versão de correção, portanto não a presuma a partir dele.
A relevância para uma organização está em inventário e atualização. Se sua equipe usa bibliotecas Jackrabbit em clientes ou integrações WebDAV, identifique as versões instaladas e compare-as com as faixas afetadas.